Bakgrunnen endret seg etter VPN? Finn den virkelige eieren
En fjernøkt, en synkronisert kontoinnstilling og en administrasjonspolicy kan alle forklare en ny bakgrunn. Identifiser skrivebordet før du gir tunnelen skylden.
En hjemme-PC som plutselig viser samme bakgrunn som en jobb-PC, føles som bevis på fjernstyring. Men det er bare en observasjon, og tre vanlige mekanismer skaper den: økten du ser på, tilhører en annen maskin, en kontoinnstilling fulgte deg, eller en policy ble brukt. Hver har ulike bevis, og tunnelen er som regel bare en tilskuer. Start med den billigste kontrollen, nemlig økten du faktisk ser på.
Hvilket skrivebord er på skjermen
En fjernøkt i fullskjerm kan forveksles med det lokale skrivebordet, og i den økten tilhører bakgrunnen fjernmaskinen. Ingenting på den lokale maskinen er endret. Før du tolker bildet, identifiser økten du er i, og maskinen bak den:
query session
Get-ItemProperty "HKCU:\Control Panel\Desktop" -Name WallpaperDen andre kommandoen leser bakgrunnsbanen til den gjeldende brukeren på maskinen der den kjører. Kjør den lokalt og deretter inne i økten, og de to svarene forteller deg hvilket skrivebord du faktisk så på.
Tid er også nyttig bevis. Noter når bakgrunnen endret seg, og om den overlever en omstart i en lokal økt. En endring som forsvinner med økten, var aldri en lokal endring.
Innstillinger som følger kontoen
Innlogging med samme Microsoft-konto på to enheter kan føre utvalgte preferanser mellom dem, og persontilpasning er blant kategoriene som kan synkroniseres. Det er en dokumentert bekvemmelighetsfunksjon, ikke en fjernstyringsmulighet, og den forklarer en samsvarende bakgrunn uten at noen VPN er involvert.
Gå gjennom kontoens egne innstillinger og hvilke enheter som er logget på. Å slå av synkronisering er en lokal beslutning, men det kan fjerne bekvemmelighet du var avhengig av, så endre det bevisst og ikke som første gjetning.
Policy som setter bildet med vilje
En administrert utrulling kan sette et skrivebordsbilde via policy. Microsofts Personalization CSP-dokumentasjon beskriver en innstilling for URL til skrivebordsbilde, med utgave- og utrullingsbegrensninger knyttet til den. Dokumentasjonen beviser at muligheten finnes; den beviser ikke at akkurat denne maskinen er registrert, eller at tilkobling til en VPN registrerte den.
| Owner | Typical evidence | Where to look |
|---|---|---|
| Remote session | The image belongs to the remote host | Session list and host name |
| Account sync | The same account is on several devices | Account settings and device list |
| Management policy | An applied policy names the image | Policy result report |
| Local customisation | A theme or tool wrote the value | Current user registry value |
Les radene som konkurrerende forklaringer og ikke som en sekvens. Den første utelukkes ved å identifisere maskinen du er på, og den andre ved å se på kontoens enhetsliste. Den tredje krever en policyrapport, og den fjerde er det som står igjen når ingen av de andre skapte verdien. Ingen av dem krever at en VPN finnes.
Lag en oversikt før du endrer noe
Samle fire fakta: den berørte maskinen og økten, det nøyaktige tidspunktet, om bakgrunnen vedvarer utenfor økten, og enhver konto- eller administrasjonsrelasjon enheten har. Et renset skjermbilde hjelper med å identifisere innstillingen uten å avsløre private filer.
På en administrert enhet, spør administratoren hvilken policy som eier persontilpasning, og om atferden er forventet. På en personlig enhet, gå gjennom konto- og sikkerhetskopiinnstillingene før du fjerner profiler, fordi fjerning av en jobbkonto kan påvirke tilgang og gjenoppretting langt utover et bakgrunnsbilde.
En visuell endring sier heller ingenting om hvilke filer eller aktivitet noen kan lese. Det spørsmålet krever en separat gjennomgang av installert programvare, tillatelser og administrasjonskonfigurasjon, og å svare på det med en bakgrunnsobservasjon er måten en støttetråd ender med feil konklusjon.